LG 스마트폰서 발견된 두 가지 취약점 패치

랜섬웨어 공격 가능케 하는 오류와 문자 메시지 조작 오류

[보안뉴스 문가용] LG가 자사 스마트폰에서 발견된 심각한 취약점 두 개에 대한 픽스를 배포하기 시작했다. 해당 취약점을 발견한 건 보안 전문업체인 체크포인트(Check Point)로, 취약점에 대해 LG에 알리고 패치가 나올 때까지 기다렸다가 취약점에 대한 상세 내용을 공개했다.

체크포인트는 LGATCMDService라는 서비스에서 발견된 오류인 CVE-2016-3117에 대해 “bind permission 보호장치가 마련되어 있지 않아 출처나 허용 수준에 상관없이 어떤 앱이라도 해당 서비스와의 통신이 가능하다”고 설명하며 “공격자들이 이를 익스플로잇해 IMEI와 MAC 주소를 오버라이트하거나 기기를 재부팅하거나 완전히 포맷하는 것이 가능해진다”고 지적했다. 특히 “랜섬웨어 공격에 활발한 사용이 가능하다”고 덧붙이기도 했다.

또 다른 취약점은 CVE-2016-2035로 WAP Push라는 텍스트 메시지 관련 프로토콜에서 발견된 것이다. “WAP Push 프로토콜에는 텍스트 메시지의 업데이트 및 삭제 기능이 포함되어 있습니다. 즉 이를 익스플로잇 하면 원격의 공격자가 피해자의 문자 메시지를 마음대로 지우거나 수정할 수 있는 것입니다.” 이 취약점은 요즘 유행하고 있는 ID 및 로그인 정보 탈취에 매우 유용하게 사용될 수 있는 것으로 알려졌다.
[국제부 문가용 기자(globoan@boannews.com)]

- 국내 최대 규모의 개인정보보호 컨퍼런스 PIS FAIR 2016 - 6월 9일(목)~10일(금) 개최
- 공공·금융·민간 CPO, 개인정보처리자, 보안담당자 등 4,000여명 참석
- 공무원상시학습, CPPG, CISSP, CISA, ISMS등 관련 교육이수(최대 16시간) 인정
- CPO, 개인정보처리자, 보안담당자 등 사전 무료 참관등록(www.pisfair.org/2016/)

AI 및 AI 보안 솔루션이 보안 인력의 업무에 어떤 식으로 영향을 미칠것이라고 생각하시나요
	부족한 인력 보충: 만성적인 인력 부족 문제를 해결하는 보완재 역할을 하고 있다(100% 대체는 불가)
	업무 영역의 분리: AI는 대량 데이터 처리를, 전문가는 고도의 전략적 판단을 맡는 등 역할이 완전히 다르다
	업무 총량의 전이: 단순 업무는 줄었으나, AI 모델 관리·검증 등 새로운 형태의 운영 업무가 발생해 전체 업무량은 비슷하다
	인력 대체 가능: 단순 반복 업무를 넘어 분석/판단 영역까지 대체하여 인력을 줄일 수 있다
	신뢰도 부족: 아직은 AI의 오탐이나 환각(Hallucination) 우려로 인해 사람이 일일이 재검토해야 하므로 실질적인 도움은 적다